प्लेटफ़ॉर्म
nodejs
घटक
openclaw
में ठीक किया गया
2026.3.11
2026.3.11
CVE-2026-32978, OpenClaw के 2026.3.11 से पहले के संस्करणों में मौजूद एक अनुमोदन अखंडता भेद्यता है। इस भेद्यता के कारण, हमलावर स्क्रिप्ट को बदलकर स्वीकृत रन संदर्भ में संशोधित कोड निष्पादित कर सकते हैं। यह भेद्यता OpenClaw के 0–2026.3.11 संस्करणों को प्रभावित करती है। संस्करण 2026.3.11 में इस समस्या का समाधान किया गया है।
CVE-2026-32978 openclaw में एक हमलावर को पहले से स्वीकृत वातावरण में दुर्भावनापूर्ण कोड निष्पादित करने की अनुमति देता है। विशेष रूप से, node-host में system.run अनुमोदन प्रणाली tsx या jiti जैसे स्क्रिप्ट रनर का उपयोग करते समय परिवर्तनीय फ़ाइल ऑपरेटर को सही ढंग से बाध्य नहीं करती है। इसका मतलब है कि एक हमलावर एक प्रतीत होने वाले हानिरहित स्क्रिप्ट रनर कमांड के लिए अनुमोदन प्राप्त कर सकता है, डिस्क पर संदर्भित स्क्रिप्ट को फिर से लिख सकता है और स्वीकृत रनिंग संदर्भ के भीतर संशोधित कोड निष्पादित कर सकता है। system.run पर निर्भर वातावरण में जहां स्क्रिप्ट अखंडता सुनिश्चित करने के लिए उपयोग किया जाता है, जोखिम विशेष रूप से अधिक है, क्योंकि इस सुरक्षा तंत्र से समझौता किया गया है।
इस भेद्यता का शोषण करने के लिए openclaw चल रही प्रणाली तक पहुंच और डिस्क पर फ़ाइलों को संशोधित करने की क्षमता की आवश्यकता होती है। यदि एक हमलावर हानिरहित स्क्रिप्ट रनर के लिए प्रारंभिक अनुमोदन प्राप्त कर सकता है, तो वे इस भेद्यता का शोषण कर सकते हैं। अनुमोदन प्राप्त करने के बाद, हमलावर मूल स्क्रिप्ट को दुर्भावनापूर्ण संस्करण से बदल सकता है, जिसे स्वीकृत रनिंग संदर्भ में अनुमतियों के साथ निष्पादित किया जाएगा। शोषण की जटिलता सिस्टम में मौजूदा सुरक्षा उपायों पर निर्भर करती है, जैसे कि फ़ाइल अनुमतियाँ और एक्सेस नियंत्रण नीतियां। system.run का उपयोग महत्वपूर्ण स्क्रिप्ट निष्पादित करने के लिए किया जाता है, ऐसे वातावरण में यह भेद्यता अधिक गंभीर है।
Organizations heavily reliant on openclaw for Node.js host management, particularly those using system.run for automated scripting and deployments, are at significant risk. Environments with lax file access controls or shared hosting configurations where multiple users can potentially modify script files are especially vulnerable.
• nodejs / supply-chain:
Get-Process -Name openclaw | Select-Object -ExpandProperty Path• nodejs / supply-chain:
Get-ScheduledTask | Where-Object {$_.TaskName -like '*openclaw*'} | Select-Object -ExpandProperty Actions• nodejs / supply-chain:
Get-WinEvent -LogName Application -Filter "EventID=1001 and Source='openclaw'" -Newest 10disclosure
एक्सप्लॉइट स्थिति
EPSS
0.04% (12% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-32978 को ठीक करने का तरीका openclaw को संस्करण 2026.3.11 या उच्चतर में अपग्रेड करना है। यह संस्करण फ़ाइल ऑपरेटर बाध्यता त्रुटि को ठीक करता है, यह सुनिश्चित करता है कि system.run कमांड में उपयोग की जाने वाली स्क्रिप्ट अपेक्षित हैं और हमलावर द्वारा संशोधित नहीं की जा सकती हैं। विशेष रूप से उत्पादन वातावरण में इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, system.run अनुमोदन नीतियों की समीक्षा करें ताकि यह सुनिश्चित किया जा सके कि सर्वोत्तम सुरक्षा प्रथाओं को अपनाया गया है और अनधिकृत कोड निष्पादन के जोखिम को कम किया गया है। संभावित हमलों का पता लगाने और उनका जवाब देने में भी मदद करने के लिए सिस्टम लॉग की निगरानी करें।
Actualice OpenClaw a la versión 2026.3.11 o posterior. Esta versión corrige la vulnerabilidad de omisión de aprobación al vincular operandos de archivos mutables para ciertos script runners.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
openclaw Node.js वातावरण में स्क्रिप्ट को प्रबंधित और निष्पादित करने के लिए एक उपकरण है।
आप जिस openclaw संस्करण का उपयोग कर रहे हैं, उसकी जांच करें। यदि यह 2026.3.11 से पहले का है, तो आप प्रभावित हैं।
उपयोग किए जा रहे स्क्रिप्ट रनर द्वारा निष्पादित किया जा सकने वाला कोई भी कोड (जैसे, सिस्टम कमांड, फ़ाइल एक्सेस, आदि)।
system.run फ़ंक्शन को अस्थायी रूप से अक्षम करना या स्क्रिप्ट रनर द्वारा उपयोग की जाने वाली फ़ाइल अनुमतियों को प्रतिबंधित करना जोखिम को कम कर सकता है, लेकिन यह एक आदर्श समाधान नहीं है।
नवीनतम जानकारी के लिए openclaw के आधिकारिक दस्तावेज़ और प्रासंगिक सुरक्षा स्रोतों से परामर्श करें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।